Benutzermanagement MS Windows

Benutzermanagement

Beron Robert Veröffentlicht: April 2003 Installationsanleitung für den Einsatz der im Microsoft-BM:BWK enthaltenen Serverprodukte

Abstract [Abstract Text]

Schoolagreement

1. Zugriff auf Dateiressourcen 1.1. Berechtigungen auf Dateien oder Ordnern Bei der Installation des Betriebssystems wurde das Dateisystem ausgewählt. Als Standard wird dabei das Windows 2003 Servereigene Dateisystem NTFS1 vorgeschlagen. Durch diese Auswahl haben Sie ein stabiles, transaktionsorientiertes Dateisystem gewählt dass weitergehende Funktionen wie z.Bsp. Vergabe von Berechtigungen auf Dateien und Ordner oder Überwachung der Zugriffe enthält.

Be rechtigungen dienen dem Schutz von Dateien, Ordnern oder Netzwerkressourcen. Mit ihnen erlaubt man Gruppen oder Benutzern den Zugriff auf Ressourcen, gleichgültig, ob der Zugriff über das Netzwerk oder lokal2 erfolgt.

Aus einer Vielzahl von Einzelberechtigungen wurden Standardberechtigungen definiert, die der Administrator oder Besitzer eines Objektes vergeben kann.

• • • • •

Lesen: Lesen einer Datei bzw. Anzeige der Dateiattribute, der Berechtigungen oder Anzeige des Besitzers. Schreiben: Mit dieser Berechtigung kann die Datei überschrieben werden. Daneben werden auch Besitz und Berechtigungen angezeigt. Lesen, Ausführen: Diese Berechtigung ist notwendig, um Programme ausführen, also starten zu können. Ändern: Neben dem Lesen, Schreiben, Ausführen umfasst diese Berechtigung noch das Ändern und Löschen von Objekten wie z.B. einer Datei oder einem Ordner. Vollzugriff: Diese Berechtigung stellt die höchst mögliche aller Be rechtigungen dar und enthält alle anderen Berechtigungen sowie die Möglichkeit der Übernahme des Besitzes an einem Objekt.

Bei Ordner- Berechtigungen kommt, im Gegensatz zu Datei-Berechtigungen, noch die Berechtigung Ordnerinhalte auflisten hinzu. Durch diese Berechtigung werden die Dateien in einem Ordner und die Unterordner des Ordners aufgelistet.

Üblicherweise werden Berechtigungen über domänen- lokale oder lokale Gruppen vergeben.

Der Grund liegt in darin, dass i.d.R weniger Gruppen als Benutzer in einem Netzwerk angelegt sind. Gruppen werden meist nach logischen, funktionellen,

1

NTFS (New Technology File System)

2

Lokal auf einem Server können sich nur Administratoren und Benutzer die der Gruppe der Operatoren angehören anmelden.

Zugriff auf File Ressourcen unter Windows 2003 Server

2

organisatorischen Gesichtspunkten gebildet. Benutzer, die einer bestimmten Gruppe angehören, haben damit auch identische Zugriffsberechtigungen.

Wenn Sie die Berechtigungen einsehen oder ändern wollen, müssen Sie zuerst das gewünschte Objekt im Dateisystem auswählen und durch einen Rechtsklick das Kontextmenü aufrufen. In dem sich öffnenden Menü wählen Sie die Funktion E IGENSCHAFTEN aus. In dem sich öffnenden Fenster wechseln Sie in das Register S ICHERHEIT , in dem Sie die Berechtigungen des Objektes einse hen bzw. ändern können.

Hier sind die Benutzer und Gruppen eingetragen, die Berechtigungen haben. Gruppen sind symbolisch durch zwei Köpfe dargestellt.

Abbildung: Anzeige der Sicherheitseinstellungen

Zugriff auf File Ressourcen unter Windows 2003 Server

3

Anmerkung: Windows 2003 Server arbeitet mit vererbbaren Berechtigungen, d.h., dass ein Objekt die Berechtigungen des darüber liegenden Ordners erbt. Mit der Erstellung eines Ordners erbt dieser die Berechtigungen des übergeordneten Ordners. Ob eine Berechtigung vererbt wurde oder nicht, können Sie leicht an der angehakten Kontrollboxen ersehen. Vererbte Berechtigungen sind angehakt und grau unterlegt.

Diese Berechtigungen wurden vererbt

Abbildung: Eigenschaften eines Ordners – Berechtigungen der Gruppe „Benutzer“ sind vererbt und deaktiviert.

Um die Berechtigung der Gruppe „Benutzer“ zu ändern, muss zuerst die Vererbung ausgeschaltet werden. Mit einem Klick auf die Schaltfläche E RWEITERT gelangen Sie in die Erweiterten Sicherheitseinstellungen des Ordners „Data.“ Im unteren Abschnitt des Fensters müssen Sie die Kontrollbox „Berechtigungen übergeordneter Objekte, über …“ enthaken. (siehe Abbildung).

Zugriff auf File Ressourcen unter Windows 2003 Server

4

Hier können Sie die Vererbung deaktivieren

Abbildung: Erweiterte Sicherheitseinstellungen eines Ordners

Nach dem Klick auf die Kontrollbox erhalten Sie eine Meldung des Betriebssystems, dass ab nun die Vererb ung nicht mehr angewandt wird. Je nachdem, ob Sie die vererbten Rechte übernehmen oder alle Sicherheitseinstellungen für diesen Ordner löschen wollen, müssen Sie entweder die Schaltfläche KOPIEREN oder E NTFERNEN anklicken.

Welche Berechtigungen im Einzelnen durch das Setzen der Kontrollbox einer Standardberechtigung wirklich vergeben werden, können Sie im oberen Teil des Fensters ersehen. Wenn Sie einen detaillierten Überblick wollen, so müssen Sie lediglich den Benutzer oder die Gruppe anklicken und anschließend die Schaltfläche B EARBEITEN … wählen.

Zugriff auf File Ressourcen unter Windows 2003 Server

5

Detaillierte Berechtigungen, die durch das Setzen der Standardberechtigung „Lesen und Ausführen“ vergeben wurden.

Abbildung: Berechtigungseintrag für eine bestimmte Gruppe Die effektive Berechtigung eines Benutzers setzt sich aus den einzelnen Berechtigungen, die er durch die Mitgliedschaft in unterschiedlichen Gruppen erhalten hat, zusammen. Alle Berechtigungen addieren sich dabei, wobei das Verweigern der Berechtigung eine höhere Priorität hat als das Zulassen einer Berechtigung!

Unter Windows 2003 Server haben Sie nun endlich die Möglichkeit, die effektiven Berechtigungen eines Benutzer oder einer Gruppe sofort zu ermitteln. Im Register E FFEKTIVE BERECHTIGUNGEN des Fenster „Erweiterte Sicherheitseinstellungen für …“ können Sie sofort die effektiven Berechtigungen ermitteln. Nachdem Sie auf das Register geklickt haben, müssen Sie über die Schaltfläche AUSWÄHLEN… den Benutzer oder die Gruppe eingeben, für die Sie die effektiven Berechtigungen ermitteln wollen.

Zugriff auf File Ressourcen unter Windows 2003 Server

6

Abbildung: Effektive Berechtigungen des Benutzers Ablöscher Christine für einen bestimmten Ordner

Üblicherweise haben Dateien durch Vererbung die Berechtigung des übergeordneten Ordners. Dies kann allerdings auch geändert werden. Die Zugriffsberechtigung auf eine Datei kann ausgedehnt oder auch eingeschränkt werden!

1.2. Best Practice •

Vergeben Sie die Rechte ausschließlich über Gruppen. Vorzugsweise sollten Sie dazu lokale oder domänen- lokale Gruppen verwenden.

•

Ersetzen Sie die Gruppe Jeder aus dem Root- Ordner der Festplatte durch die Gruppe der Server Operatoren.

•

Vergeben Sie nur jene Rechte die eine bestimmte Benutzergruppe wirklich benötigt.

•

Vergeben Sie niemals Rechte an einen Benutzer! Richten Sie in diesem Fall lieber eine zusätzliche Gruppe ein. Zugriff auf File Ressourcen unter Windows 2003 Server

7

1.3. Freigabe von Ressourcen im Netzwerk Sie arbeiten auf dem Server „\\srv01“ und wollen anderen Benutzern im Netzwerk den Zugriff auf den Ordner „D:\Data\InfoShare“ erlauben.

Zuerst öffnen Sie den Explorer und markieren das freizugebende Objekt im linken oder rechten Teil. Mit einem Rechtsklick wählen Sie aus dem Kontextmenü die Funktion F R EIGABE UND S ICHERHEIT ... aus.

Abbildung: Explorer mit dem freizugebenden Ordner und seinem Kontextmenü (Ausschnitt)

In dem sich öffnenden Fenster müssen Sie zuerst die Option „Diesen Ordner freigeben“ wählen, worauf im Textfeld „Freigabenamen“ der Name des Ordners vorgeschlagen wird. Da sicherlich viele Ordner freigegeben werden, ist es sehr hilfreich, wenn Sie den freigegebenen Ordner mit einem Kommentar versehen. Dieser Komme ntar ist für Benutzer gedacht und hilft diesen bei der richtigen Wahl des Ordners.

Zugriff auf File Ressourcen unter Windows 2003 Server

8

Neben dem Freigabenamen des Ordners und einem Kommentar können Sie auch Berechtigungen auf diesen Ordner vergeben und die Anzahl der gleichzeitigen Zugriffe 3 einschränken.

Die Auswahl der möglichen Berechtigungen auf Freigabeebene mit Lesen, Ändern und Vollzugriff sind identisch mit denen auf NTFS – Dateisystemebene. Allgemein wird als Freigabeberechtigung Jeder mit Vollzugriff automatisch eingetragen. Um sich die Ermittlung des effektiven Rechts zu ersparen, wird i.d.R. die vorgeschlagene Freigabeberechtigung – Jeder, Vollzugriff - übernommen.

Das effektive Recht eines Benutzers setzt sich aus den NTFSDateisystemb e rechtigungen und den Freigabeberechtigungen zusammen. Der Benutzer erhält dabei aus beiden Berechtigungen die jeweils geringere Berechtigung.

3

Während die Anzahl der gleichzeitigen Zugriffe auf Windows 2003 Server unbegrenzt ist, ist die maximale Anzahl auf einen unter Windows XP Professional freigegebenen Ordner mit 10 Benutzern begrenzt.

Zugriff auf File Ressourcen unter Windows 2003 Server

9

Abbildung: Freigabe eines Ordners mit dem Freigabenamen Infoshare und einem entsprechenden Kommentar

Freigegebene Objekte, in diesem Fall der Ordner „Infoshare“, werden durch eine „reichende“ Hand unter dem Symbol dargestellt. Neben Ord nern könnten Sie auch andere Objekte wie z.B. eine Festplatte, ein CD-ROM Laufwerk oder einen lokalen Drucker für andere freigeben. Der Vorgang ist dabei in allen Fällen der gleiche. Anmerkung: Fügen Sie dem Freigabenamen ein $-Zeichen hinzu, wird die Ressource versteckt. Nur Anwender, die den genauen Namen der Ressource kennen, können dann darauf zugreifen.

1.4.

Best Practice

Welche File Ressourcen in einem Netzwerk freigegeben werden müssen ist von Schule zu Schule unterschiedlich und kann allgemein nicht beantwortet werden.

Eine allgemeine Empfehlung könnte dabei sein: •

Homeverzeichnisse, also die persönlichen Ordner, der Benutzer sollten versteckt freigegeben werden. Auf diese haben nur die Gruppe Administratoren und der jeweilige Benutzer Vollzugriff.

•

Ein allgemeines Kommunikationsverzeichnis für Schüler. Je nach Ausbildungsstand von Schülern oder Lehrer sollte entweder nur Ändern oder eventuell Vollzugriff gewährt werden. Achtung: Wenn Sie Vollzugriff gewähren können Benutzer die Ordner anlegen selbst Rechte auf diesen Ordner vergeben.

•

Evt. pro Klasse ein eigener Kommunikationsordern. Ein alternative dazu wären Unterordner mit entsprechenden Rechten im allgemeinen Kommunikationsverzeichnis.

•

Ein allgemeines Kommunikationsverzeichnis für Lehrer (Schüler haben hier keinen Zugriff)

•

Ein Ordner für die Ablage der Schularbeiten. Schularbeitsdateien können hier abgelegt und gesichert werden. Auf diesen Ordner sollten nur Lehrer mit dem Recht Ändern zugriff haben.

•

Ein freigegebener Verwaltungsorder für Angestellte der Verwaltung. Bei Bedarf können weitere Unterordner für unterschiedliche Tätigkeitsbereiche Direktion, Schuladministration, Klassenvorstände usw. erstellt werden.

•

Order für die Installation von Programmen.

•

Etc …

Zugriff auf File Ressourcen unter Windows 2003 Server

10

Abbildung: Beispie lhafte Freigaben eines File Servers

Zugriff auf File Ressourcen unter Windows 2003 Server

11